{"id":183160,"date":"2026-08-27T22:53:24","date_gmt":"2026-08-27T20:53:24","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-bubblewrap-0-12-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2026-08-27T22:53:29","modified_gmt":"2026-08-27T20:53:29","slug":"bubblewrap-0-12-release-a-layer-for-creating-isolated-environments","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/bubblewrap-0-12-release-a-layer-for-creating-isolated-environments","title":{"rendered":"Uitgave Bubblewrap 0.12, laag voor het cre\u00ebren van ge\u00efsoleerde omgevingen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Een nieuwe versie van de toolkit voor het organiseren van ge\u00efsoleerde omgevingen Bubblewrap 0.12 is uitgebracht, gebruikt om afzonderlijke toepassingen van niet-bevoorrechte gebruikers te beperken. In de praktijk wordt Bubblewrap toegepast door het Flatpak-project als een laag voor het isoleren van toepassingen die uit pakketten worden uitgevoerd. Voor isolatie worden traditionele Linux-technologie\u00ebn voor containervirtualisatie gebruikt, gebaseerd op cgroups, namespaces, Seccomp en SELinux. De code van het project is geschreven in C en wordt verspreid onder de LGPLv2.1+-licentie. <\/p>\n
Bestandsysteemisolatie wordt gerealiseerd door standaard een nieuwe mount-namespace te cre\u00ebren, waarin met behulp van tmpfs een leeg rootbestandssysteem wordt aangemaakt. In dit bestandssysteem worden indien nodig partities van externe bestandssystemen in de 'mount \u2014bind'-modus aangekoppeld (bijvoorbeeld bij het starten met de optie 'bwrap \u2014ro-bind \/usr \/usr' wordt de \/usr-partitie in alleen-lezen modus vanuit het primaire systeem doorgestuurd). Netwerkfunctionaliteiten worden beperkt tot de toegang tot de loopback-interface met isolatie van de netwerkstack via de vlaggen CLONE_NEWNET en CLONE_NEWUTS. <\/p>\n
Om alle overbodige gebruikers- en procesidentificatoren uit de gemaakte ge\u00efsoleerde omgeving uit te sluiten, kunnen de modi CLONE_NEWUSER (gebruikersnamespace) en CLONE_NEWPID (PID namespace) worden gebruikt, en om de verwerving van nieuwe privileges te verbieden, wordt de modus PR_SET_NO_NEW_PRIVS toegepast. Voor het verkrijgen van de benodigde privileges wordt 'gebruikersnamespace' gebruikt. <\/p>\n
In de nieuwe release: <\/p>\n
\n
De licentie voor de code is gewijzigd van LGPL 2.0+ naar LGPL 2.1+.\n
De ondersteuning voor het bouwen in de vorm van een uitvoerbaar bestand dat extra privileges verkrijgt met de suid root-vlag is be\u00ebindigd. Het is nu verplicht dat het systeem ondersteuning biedt voor 'gebruikersnamespace'. Als reden wordt de arbeidsintensiteit van het onderhouden van de versie met suid-vlag gegeven, gezien de alomtegenwoordige ondersteuning voor 'gebruikersnamespace' in distributies.\n
De optie '--not-a-security-boundary' is toegevoegd, waarbij bepaalde fouten bij het configureren van de ge\u00efsoleerde sandbox-omgeving, zoals het opnieuw aankoppelen van een schijf, niet leiden tot een onverwachte be\u00ebindiging.\n
Een build-optie 'assume_kernel' is toegevoegd, die de ondersteuning voor achterwaartse compatibiliteit met Linux-kernels die ouder zijn dan de opgegeven versie uitschakelt. Bijvoorbeeld, het opgeven van versies 5.6.0+ zal leiden tot de uitsluiting van alternatieve implementaties van de functionaliteit 'openat2(RESOLVE_IN_ROOT)'. <\/ul>\n